| 用途 | 大规模会话轮廓与异常外联筛查 |
|---|---|
| 字段 | 五元组 / 起止时间 / 包字节 / 方向 / 采样比 |
聚合思路
聚合思路
nfdump -r nfcapd.20261012 -s srcip/bytes -n 20
# 关注小包高频（心跳）与大字节单流（外带）采样比要先确认，估算体量时按采样还原。
本包目录（137 条）
溯源思路与流程30 条日志溯源35 条
流量与样本溯源30 条
- NetFlow/IPFIX 元数据溯源
- Zeek 日志体系速查
- PCAP 证据的哈希与来源登记
- 会话流重组导出
- DNS 隧道流量特征
- 加密 DNS（DoH/DoT）侦测思路
- 周期性外联（Beacon）识别
- TLS 证书与 SNI 线索
- HTTP 对象导出与哈希
- SMB 横向移动流量线索
- 外带数据体量估算
- 隧道协议识别要点
- 从 PCAP 提取文件对象
- PE 头部与导入表解读
- 沙箱报告阅读要点
- IOC 规范化与管理
- YARA 规则匹配思路
- Sigma 规则转查询实践
- 威胁情报比对方法
- 邮件头 Received 链分析
- 样本归因的表述纪律
- JARM 指纹比对
- JA3/JA4 客户端指纹应用
- 扫描流量特征识别
- IP 归属与 ASN 核查
- 样本哈希计算与记录
- 样本初筛（Triage）流程
- strings 提取 IOC 的注意点
- 附件类型鉴定与哈希
- 脚本样本分析线索
NetFlow/IPFIX 元数据溯源
不是所有环境都留全流量：NetFlow/IPFIX 元数据保留五元组、字节数与时间，足够做外联筛查与体量评估。
易错点
- 采样数据算字节总数会有偏差，量级结论可用、精确值要注明
- 长时间流会被切成多段，聚合时按五元组归并
数据来源与参考
- NFDump 文档（NetFlow 处理）